Cloudflare proksisi OpenVPN-i niyə bir ad üzərində daşıya bilmir

Bir maşın həm veb-saytı, həm də OpenVPN serverini işlədir və cazibə bir host adını ona yönəltmək və trafiki narıncı buludun həll etməsinə buraxmaqdır. Proksi HTTP və HTTPS-i həll edir. O, OpenVPN sessiyasını həll etmir, o sessiya hansı portdan istifadə etsə də. İki ad, biri birbaşa, biri proksilənmiş, heç bir şeyə başa gəlmir və bütün çaşqınlıq sinfini aradan qaldırır.

İki ad, iki nəqliyyat

Veb-sayta proksilənmiş qeyd verin ki, onun HTTP və HTTPS trafiki Cloudflare-dən keçsin. VPN-ə isə birbaşa ictimai VPN girişinə yönələn yalnız-DNS qeydi verin və müştərinin konfiqurasiya olunduğu UDP və ya TCP portundan istifadə etməsinə icazə verin.

Hər iki ad eyni mənbə maşınında bitə bilər. Fərq müştəri ilə həmin maşın arasında baş verənlərdir və bu fərq bölünmənin məqsədidir.

Cloudflare-in şəbəkə portu arayışı adi veb-proksinin hansı portları qəbul etdiyini sadalayır. O siyahı həmin portlarda HTTP və HTTPS haqqındadır, təsadüfən eyni nömrəni paylaşan ixtiyari protokollar haqqında deyil.

Port protokol deyil

OpenVPN-i TCP 443-ə köçürmək onu HTTPS-ə çevirmir. Proksi hələ də bağlantının əvvəlində HTTP sorğusu gözləyir, OpenVPN müştərisi isə əvəzində ikili idarə mesajı göndərir. Bağlantı şəbəkə blokuna bənzəyən şəkildə uğursuz olur, çünki faydalı heç nə jurnala çatmır.

Əgər tələb həqiqətən VPN məlumat yoluna Cloudflare məhsulu qoymaqdırsa, sizə lazım olan protokolu dəstəklədiyini sənədləşdirən məhsulu qiymətləndirin. Narıncı buludun ümumi TCP və ya UDP tuneli olduğunu düşünməyin, çünki o, konkret vəzifəsi olan veb-trafik üçün tərs proksidir.

Yalnız-DNS qeydi işləyən darıxdırıcı cavabdır və ilk müraciət edilməli olan da budur.

Bir maşın hələ də iki dinləyiciyə ehtiyac duyur

Ayrı adlar iki prosesin eyni ünvanı, portu və nəqliyyatı eyni vaxtda tutmasına imkan vermir. Əgər veb-server artıq bütün ünvanlarda TCP 443-ü tutursa, OpenVPN nümunəsi qəsdən edilmiş razılaşma olmadan onu da götürə bilməz.

VPN dinləyicisini fərqli porta, ya da fərqli ünvana bağlayın, yaxud qarşısına sənədləşdirilmiş multipleksor qoyun və bunun gətirdiyi əməliyyat xərcini qəbul edin. Bu seçimlərin hər biri firewall qaydalarında görünməlidir, çünki heç kimin sənədləşdirmədiyi dinləyici hadisə zamanı qaçırılan olur. Seçilmiş bağlamanı tuneli təsvir edən eyni runbook-a yazın. Sonra növbəti şəxs onu gecə ikidə yenidən kəşf etməz.

Sertifikatlar qoruduqları bağlantını izləyir

Brauzerin Cloudflare-ə TLS bağlantısı və Cloudflare-in sizin mənbəyinizə bağlantısı iki ayrı sertifikatla iki ayrı əlaqədir. Brauzer kənar sertifikatı görür. Mənbə Cloudflare-ə öz sertifikatını təqdim edir və Cloudflare Origin CA sertifikatı məhz bu ikinci əlaqə üçün nəzərdə tutulub.

Həmin mənbə sertifikatı Cloudflare tərəfindən Full (strict) rejimində etibarlı sayılır və ümumi etibarlı brauzer sertifikatı deyil. Əgər kimsə yalnız-DNS host adını birbaşa ziyarət edib xəbərdarlıq alırsa, bu, şifrələmənin dayandığına dair sübut deyil, dəyişmiş etimad yolunun gözlənilən nəticəsidir.

Buna görə birbaşa ziyarət edilən veb-sayt brauzerlərinin etimad göstərdiyi sertifikat zəncirinə ehtiyac duyur. Bu, mənbəyi ümumiyyətlə ziyarət edilmək üçün nəzərdə tutulmayan proksilənmiş saytla birgə mövcud ola bilər.

OpenVPN öz server kimliyini və müştəri autentifikasiyasını öz sertifikat orqanı və öz idarə kanalı qorunması ilə daşıyır. Veb-saytdakı qıfıl bunların heç birini təmin etmir və iki təminat prosesi ayrı qalmalıdır.

Ekspozisiya adı izləyir

Yalnız-DNS VPN qeydi yönəldiyi ünvanı dərc edir. Əgər həmin ünvan həm də veb mənbəyidirsə, mənbə gizli deyil və digər ad proksiləndiyi üçün onu gizli adlandırmaq, kimsə onu skan edənə qədər davam edən bir səhvdir.

Hansı veb sorğularının mənbəyə birbaşa çata biləcəyini müəyyən edin və bunu mənbədə tətbiq edin, sonra VPN dinləyicisinə öz şərtləri ilə icazə verin. İdarəetmə səhifələri, profil yükləmələri və məlumat dinləyicisi bir paket hər üçünü təqdim etsə belə, üç fərqli ekspozisiya tələbinə malik ola bilər.

Yaradılan linkləri ictimai veb adında və HTTPS sxemində saxlayın, müştəri profillərini isə real protokol və portla VPN adında saxlayın. Heç bir xidmət normal işləyərkən digərinin proksi parametrini dəyişməkdən asılı olmamalıdır.

İş sırası: sayt üçün proksilənmiş ad, VPN üçün yalnız-DNS ad, ayrı dinləyicilər, hər əlaqə üçün sertifikat, sonra hər adın yalnız lazımi xidmətə çatdığını sübut edən bir test.